- A1: n8n Compose-Port .41.167→.20.167 (Daten/Encryption-Key erhalten), NAS-Leichen weg - A2: Ingress v106 alle Origins .41.167→.20.167, hermes-geli neu, mcp-ms365 raus - A3: hermes-geli-CNAME + 12 tote/Orphan-CNAMEs gelöscht - Endzustand: Tunnel healthy/1 Connector, 23 Ingress↔23 CNAMEs, keine Waisen - Zugang via scoped API-Token (mcp/cloudflare/.env), OAuth-MCP blieb read-only Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>